Tener internet en cada sucursal no es tener una red. Mientras cada sede salga por su propio módem, con su propio direccionamiento y su propia contraseña de WiFi, la dirección de TI no controla nada: no sabe quién entra al ERP, no puede ver las cámaras desde la matriz y cada alta de usuario se resuelve por teléfono. Un enlace con VPN cambia eso — todas las sedes pasan a vivir dentro de la misma red privada, y da igual si la sucursal se conecta por fibra, por 5G o por satélite.
Qué cambia cuando las sucursales viven en una sola red
La VPN no es un extra de seguridad: es lo que convierte varias oficinas en una empresa conectada. Con las sedes dentro de la misma red privada:
- El ERP y los sistemas internos se ven igual desde cualquier sede, sin publicarlos a internet abierto ni abrir puertos en cada sucursal.
- Las cámaras y el control de acceso reportan a la matriz, no a un grabador local que nadie revisa hasta que pasa algo.
- Los usuarios se administran en un solo lugar: quien deja la empresa pierde el acceso en todas las sedes el mismo día.
- El respaldo de información sale solo, en horario definido y por un canal que no compite con la operación.
- La salida a internet se controla con la misma política en todas las sucursales, y la red de invitados queda separada de la de operación.
Es el mismo criterio que aplicamos cuando el sitio está en zona sin última milla, descrito en servicios satelitales para PyMEs, solo que aquí el foco no es tener señal: es tener control.
Estrella o malla: la primera decisión de diseño
Antes de hablar de equipos hay que definir cómo se comunican las sedes entre sí. Hay dos formas, y la elección cambia el costo y el comportamiento de la red.
| Topología | Cómo funciona | Cuándo conviene | Lo que hay que cuidar |
|---|---|---|---|
| Estrella (hub-and-spoke) | Todas las sucursales levantan túnel contra la matriz o el centro de datos; el tráfico entre sedes pasa por el centro | La mayoría de las PyMEs: sistemas centralizados, ERP y archivos en la matriz o en la nube | El centro es punto único de falla: ahí se concentra el respaldo y el ancho de banda |
| Malla (o malla parcial) | Las sedes que se hablan mucho levantan túnel directo entre ellas, además del túnel al centro | Planta y CEDIS que intercambian datos pesados, o voz interna entre dos plazas | Más túneles que administrar y más reglas; solo donde el tráfico lo justifica |
En la práctica casi todas las redes multisucursal arrancan en estrella y agregan un par de enlaces directos donde el tráfico entre dos sedes lo pide. Diseñar de entrada una malla completa suele ser gastar en complejidad que nadie va a operar.
Sobre qué medio viaja el túnel
La VPN es independiente del medio, y esa es justamente la ventaja: el túnel se levanta igual sobre fibra, sobre 5G o sobre satélite. Lo que cambia es dónde conviene cada uno.
- Fibra donde exista y sea estable: el mejor costo por megabit.
- 5G / LTE en plazas comerciales y sucursales urbanas donde no se puede cablear, o como camino alterno del principal.
- Satélite donde no hay última milla —planta, bodega, rancho, obra, mina— y como respaldo real en las sedes donde el negocio no puede parar, porque no comparte infraestructura con el proveedor terrestre.
Lo normal en una red bien armada es una mezcla: fibra en la matriz y en las plazas grandes, satélite en las sedes remotas y en las críticas como segundo camino. El equipo de borde conmuta entre uno y otro sin que el usuario tenga que hacer nada, y el túnel se vuelve a levantar del otro lado. Cómo se diseña esa conmutación está en internet satelital de respaldo y, para varias sedes a la vez, en alta disponibilidad y multi-WAN para direcciones de TI.
La latencia se diseña, no se sufre
Es la diferencia técnica más importante entre un enlace terrestre y uno satelital, y la que decide si una aplicación se siente bien o no. La órbita manda: en satélites geoestacionarios (GEO) la señal viaja unos 36,000 km de ida y otros tantos de regreso, así que el retardo de ida y vuelta ronda medio segundo; en constelaciones de órbita baja (LEO) baja a decenas de milisegundos, cerca de lo que se siente en una red terrestre.
Qué hacer con eso:
- Aplicaciones que aguantan bien la latencia: ERP web, correo, facturación, respaldos, cámaras, telemetría y transferencia de archivos.
- Aplicaciones sensibles: voz IP, videollamada, escritorio remoto y terminales que consultan la base de datos campo por campo. En sedes con GEO, esto se resuelve moviendo la aplicación a un modo web, cacheando localmente o poniendo la sede crítica en LEO.
- Cómo se prueba: no basta con un test de velocidad. Hay que medir el tiempo de respuesta de la aplicación real desde la sucursal, con la carga del día.
Cifrado y separación de redes
El túnel viaja cifrado extremo a extremo con AES-256, con llaves que se renuevan solas y sin exponer un solo servicio de la matriz a internet abierto. Sobre eso, lo que evita la mayoría de los incidentes no es el cifrado sino la separación: en cada sucursal conviene tener por lo menos tres redes distintas, aunque salgan por el mismo enlace.
- Operación: punto de venta, ERP, impresoras, equipo del personal.
- Invitados: WiFi para clientes, sin ninguna ruta hacia la red de operación.
- Dispositivos: cámaras, control de acceso, sensores y básculas, que suelen ser lo más débil de una red y no deben poder hablar con las computadoras.
El mismo criterio que usamos en internet satelital para empresas cuando hay que dejar convivir la red de operación con la de visitantes.
Los cinco detalles que arruinan un despliegue
Casi todas las redes multisucursal que llegan con problemas fallan por lo mismo, y no es el enlace:
- Direccionamiento traslapado. Las diez sucursales configuradas en 192.168.1.0/24 por el instalador de turno. Al levantar el túnel, ninguna sabe si el 192.168.1.50 es su impresora o la de otra sede. Se resuelve antes de instalar, con un plan de direccionamiento por sucursal.
- MTU y fragmentación. El encabezado de la VPN reduce el tamaño útil del paquete; si no se ajusta el MSS, el síntoma despista: el sitio abre pero se queda a medias, o la transferencia grande se congela mientras el ping responde perfecto.
- DNS interno olvidado. La sucursal levanta el túnel pero sigue resolviendo con el DNS del proveedor, y los nombres internos no existen. Todo “funciona” y nada abre.
- Doble NAT. El módem del proveedor haciendo NAT y el router de la empresa haciendo otro; el túnel levanta a veces y se cae solo.
- Aceleración TCP anulada. Los enlaces satelitales usan optimizadores que compensan la latencia, pero solo pueden trabajar con lo que ven; si todo el tráfico va cifrado dentro del túnel, dejan de ayudar. Por eso el diseño define qué sale por el túnel y qué sale directo a internet desde la sucursal.
Prioridad de tráfico: cuánto y para quién
Un enlace de sucursal no se dimensiona por número de usuarios, sino por lo que tiene que sobrevivir a la hora pico. La regla práctica es reservar primero lo crítico y dejar el resto compitiendo.
| Tráfico | Prioridad | Qué pasa si no se reserva |
|---|---|---|
| Punto de venta y cobro con tarjeta | La más alta, aunque use poquísimo ancho de banda | La terminal tarda o rechaza justo en la hora de más venta |
| Voz IP y videollamada | Alta, con reserva fija | Se corta la llamada cuando alguien sube un archivo |
| ERP, CRM y facturación | Media-alta | La captura se hace lenta y el personal se detiene |
| Videovigilancia | Media, con tope de subida | Las cámaras se comen el enlace completo si nadie las limita |
| Respaldos y actualizaciones | Baja, en horario nocturno | Un respaldo a media mañana tumba la operación de la sede |
En sedes donde el cobro es lo único que no puede fallar, el diseño se simplifica bastante: está descrito en respaldo para punto de venta y franquicias, y el cálculo de lo que cuesta no tenerlo, en cuánto le cuesta a tu PyME una hora sin internet.
Qué sedes conectar primero
Cuando la red va a crecer por etapas, el orden no es por tamaño de la sucursal sino por lo que se detiene si se cae. Primero las sedes que cobran o despachan —tienda, CEDIS, planta—, después las que solo consultan. Y en cada una, la pregunta concreta: si esta sucursal queda incomunicada dos horas, ¿qué deja de pasar y cuánto cuesta?
Casos de sedes remotas que ya operan así: obras y constructoras, campamentos mineros, empaquetadoras de alimentos, ranchos y ganadería y farmacias rurales.
Monitoreo: la red que nadie ve es la que falla
Una red multisucursal necesita que alguien vea los túneles todo el tiempo, no que el gerente de la sede llame para avisar. Lo mínimo que debe quedar montado:
- Estado de cada túnel y de cada enlace, con aviso automático cuando uno se cae o cuando la sede conmuta a su camino alterno.
- Historial de consumo por sucursal, que es lo que permite ajustar el ancho de banda con datos y no por corazonada.
- Prueba de conmutación programada, desconectando el enlace principal a propósito en horario tranquilo. El respaldo que nunca se probó falla el día que se necesita.
- Un responsable con acceso al equipo, sea tu área de sistemas o nosotros, para no depender de que alguien en la sucursal reinicie el router.
Cómo se cotiza una red multisucursal
Para armar la propuesta necesitamos cinco datos, y ninguno requiere una visita previa:
- Cuántas sedes y dónde están, con la ubicación exacta de cada una.
- Qué corre entre ellas: ERP, cámaras, voz, respaldos, punto de venta.
- Qué tienen hoy de conectividad en cada sede, y cuáles no tienen última milla.
- Qué debe seguir operando si una sede pierde su enlace principal.
- Quién va a operar la red: tu equipo de sistemas o nosotros como servicio administrado.
Con eso definimos topología, medio por sede, ancho de banda y equipo, y entregamos el diseño con la red ya direccionada — no una lista de enlaces sueltos. Si la operación además se mueve, se integra con enlaces para vehículos y rastreo de flotillas; y si necesitas voz donde no hay celular, con telefonía satelital para negocios. Para plazas concretas, revisa CDMX y Monterrey.
